Depuis le 17 mars 2026, les directions de la sécurité disposent en France d’un nouvel appui méthodologique avec le Référentiel Cyber France de l’ANSSI. Le signal est clair : la souveraineté numérique n’est plus un débat doctrinal réservé aux juristes ou aux directions achats. Pour les RSSI, elle devient un critère de résistance opérationnelle, au même niveau que la continuité d’activité, la gestion des tiers et la maîtrise des données sensibles.

La bascule est d’abord pragmatique. Les entreprises ne cherchent pas à sortir du Cloud par principe. Elles tentent plutôt d’identifier les dépendances qui peuvent, en cas d’incident réglementaire, contractuel ou technique, fragiliser l’ensemble du système d’information. Dans cette lecture, la souveraineté ne signifie pas isolement, mais capacité à garder la main sur les actifs critiques.

NIS2, DORA, RGPD : le triptyque qui change l’agenda des RSSI

Le premier moteur du sujet reste la conformité. La directive européenne NIS2 a considérablement élargi le périmètre des organisations concernées par des obligations renforcées de cybersécurité dans des secteurs jugés stratégiques.

Son délai de transposition dans les États membres était fixé au 17 octobre 2024. En France, le projet de loi a été adopté par le Sénat le 12 mars 2025, mais la séquence législative n’est pas achevée au 31 juillet 2026, avec une adoption finale toujours attendue en 2026.

Cette temporalité ne suspend pas les travaux des entreprises. Au contraire, elle pousse de nombreux RSSI à anticiper. L’ANSSI a d’ailleurs mis à disposition, le 17 mars 2026, le Référentiel Cyber France, dit ReCyF. Pour les directions sécurité, ce type d’outil a une fonction très concrète : structurer les exigences, objectiver les écarts et préparer les futures mises en conformité sans attendre le dernier moment.

Le secteur financier, lui, ne peut plus se contenter d’anticiper. Le règlement DORA est entré en application le 17 janvier 2025.

Sa logique est particulièrement exigeante : l’entité financière ne répond pas seulement de son propre niveau de sécurité, elle doit aussi piloter celui de ses prestataires ICT. En clair, la gestion du risque cyber sort du périmètre purement interne pour devenir une question de chaîne d’approvisionnement numérique.

À cela s’ajoute la RGPD, qui conserve un rôle central dès lors que des données personnelles peuvent être transférées hors de l’Espace économique européen. Pour un RSSI, le sujet n’est plus seulement de dresser une cartographie des serveurs. Il faut comprendre qui administre, qui maintient, qui supporte à distance et sous quelle juridiction opèrent ces intervenants.

Ce que la souveraineté change dans les contrôles internes

La question centrale n’est plus seulement l’emplacement physique des données. Les entreprises doivent aussi vérifier l’identité des administrateurs, les modalités de support, les accès à distance et les engagements contractuels de leurs sous-traitants. Un prestataire techniquement irréprochable peut malgré tout créer un point de fragilité si sa structure d’accès ou son cadre juridique échappe au contrôle de l’entreprise cliente.

Le vrai risque pour l’entreprise : la dépendance juridique plus que l’emplacement du serveur

Dans les arbitrages des RSSI, une idée s’impose de plus en plus nettement : un hébergement local ne règle pas tout. La préoccupation la plus sensible porte sur l’extraterritorialité du droit. Le Cloud Act américain cristallise cette inquiétude, car il autorise les autorités des États-Unis à demander l’accès à des données détenues par des entreprises américaines, y compris lorsque ces données sont hébergées hors du territoire américain.

Pour les entreprises françaises, cette réalité change la grille d’analyse. Un datacenter situé dans l’Union européenne peut ne pas offrir le niveau d’autonomie attendu si l’opérateur, le support ou certaines briques d’administration restent soumis à une législation étrangère. La souveraineté devient alors une affaire de chaîne de contrôle, pas uniquement de géographie.

Ce constat a une conséquence immédiate : le rapatriement intégral du système d’information en interne n’est ni réaliste ni économiquement soutenable pour la plupart des organisations. Les RSSI s’orientent donc vers des modèles segmentés.

Les charges de travail peu sensibles demeurent sur des infrastructures de Cloud public pour préserver vitesse de déploiement, élasticité et maîtrise des coûts. En parallèle, les actifs critiques sont isolés dans des environnements mieux protégés, sur un Cloud souverain ou en on-premise.

Cette approche a aussi une vertu financière. Elle évite de surprotéger des pans entiers du système d’information qui ne présentent pas le même niveau d’enjeu juridique ou métier.

En pratique, la souveraineté efficace se construit par priorisation : quelles données exposeraient l’entreprise à un risque majeur en cas d’accès non autorisé, de coupure ou de blocage contractuel ? C’est sur ce socle que se décide ensuite l’architecture cible.

Un environnement peut être hébergé en France ou dans l’Union européenne tout en restant vulnérable si le support de niveau avancé, l’administration des correctifs ou certains comptes à privilèges sont opérés hors de l’Union européenne. Dans ce cas, la question ne porte plus seulement sur le stockage, mais sur la capacité d’un tiers à intervenir, voir ou extraire des informations stratégiques.

SecNumCloud, chiffrement et cloisonnement : la réponse opérationnelle aux données les plus sensibles

Pour les actifs les plus critiques, les entreprises cherchent des garanties supplémentaires. En France, la qualification SecNumCloud délivrée par l’ANSSI constitue l’un des repères les plus suivis.

La version 3.2 du référentiel, en vigueur, comporte plus de 360 exigences. Cette densité montre bien que la souveraineté ne se réduit pas à un slogan commercial : elle repose sur un ensemble de contrôles techniques, organisationnels et juridiques.

Deux annonces ont marqué le marché récent. OVHcloud a obtenu la qualification SecNumCloud 3.2 pour son offre Bare Metal Pod le 31 mars 2025.

De son côté, S3NS a annoncé la qualification de son offre PREMI3NS en décembre 2025. Pour les RSSI, ces jalons comptent, car ils élargissent le nombre d’options qualifiées disponibles pour héberger des traitements sensibles.

Au-delà de la qualification elle-même, la doctrine de sécurité repose souvent sur trois leviers complémentaires :

  • le cloisonnement des données et applications critiques ;
  • la réduction des accès privilégiés au strict nécessaire ;
  • la maîtrise des clés de chiffrement par l’entreprise elle-même.

Ce dernier point est stratégique. Détenir exclusivement les clés via un HSM, sans accès possible pour le fournisseur Cloud, modifie profondément le rapport de force. La donnée reste techniquement inutilisable sans l’accord de l’organisation cliente. Pour un RSSI, c’est une manière de traduire la souveraineté en mécanisme concret, vérifiable et auditable.

OVHcloud : un jalon sur Bare Metal Pod

L’obtention de la qualification SecNumCloud 3.2 le 31 mars 2025 pour Bare Metal Pod constitue un point de référence pour les entreprises qui cherchent une offre qualifiée en France. Le sujet ne se limite pas à la conformité documentaire : il touche directement l’hébergement de charges critiques, la séparation des environnements et la capacité à répondre aux exigences croissantes des secteurs régulés.

S3NS : PREMI3NS qualifié en décembre 2025

L’annonce de la qualification de PREMI3NS en décembre 2025 a également renforcé le paysage disponible pour les organisations françaises. Pour les RSSI, cette évolution est importante car elle diversifie les scénarios d’architecture envisageables, notamment pour les entreprises qui veulent conjuguer outils avancés et exigences fortes de confiance numérique.

SecNumCloud : ce que le label apporte réellement

La qualification ne remplace ni l’analyse de risques interne ni les clauses contractuelles. En revanche, elle fournit un niveau de vérification élevé sur les mesures de sécurité attendues. Pour les directions générales, c’est un outil d’aide à la décision. Pour les RSSI, c’est un filtre utile pour sélectionner un socle compatible avec des données très sensibles.

Sortir sans casse : le Vendor Lock-in devient un sujet de gouvernance

La souveraineté numérique ne se mesure pas seulement à la robustesse d’un hébergeur. Elle se juge aussi à la capacité de l’entreprise à changer de fournisseur sans mettre en danger son activité.

C’est ici que le risque de Vendor Lock-in prend toute son importance. Une dépendance trop forte à des services propriétaires, à des formats non portables ou à des mécanismes d’authentification spécifiques peut rendre toute migration extrêmement coûteuse, voire impraticable.

Pour les RSSI, cette question sort désormais du champ purement technique. Elle touche à la gouvernance, aux achats et à la résilience.

Si un prestataire augmente unilatéralement ses tarifs, modifie son périmètre de service ou subit une panne majeure, l’entreprise doit pouvoir maintenir ses opérations essentielles. Le PRA, plan de reprise d’activité, n’a donc de valeur réelle que s’il inclut des scénarios crédibles de bascule et des tests réguliers.

Cette exigence a plusieurs implications opérationnelles :

  • intégrer les frais de sortie dans l’évaluation économique dès la conception ;
  • documenter les dépendances propriétaires les plus critiques ;
  • prévoir des mécanismes d’interopérabilité entre outils de sécurité ;
  • vérifier que les sauvegardes restent isolées de la production.

Ce dernier point est décisif dans le risque ransomware. Des sauvegardes trop proches de l’environnement principal peuvent être chiffrées ou détruites au même moment que les systèmes de production. L’autonomie de restauration fait partie intégrante de la souveraineté. Une entreprise qui ne peut pas redémarrer seule dépend de fait de ses prestataires, de ses outils et parfois du calendrier d’un tiers.

Dans un environnement segmenté, le PRA ne consiste plus uniquement à redémarrer un site de secours. Il faut vérifier que les configurations, les sauvegardes, les règles de sécurité et les mécanismes d’identité peuvent être répliqués ou restaurés sur un autre environnement. Sans cette capacité, le multi-Cloud reste théorique.

La RGPD face à l'IA générative : qui répond de quoi

L’autre accélérateur du sujet s’appelle Shadow IA. Dans de nombreuses entreprises, les équipes métier utilisent de façon informelle des outils d’IA générative pour résumer des documents, produire du code, retraiter des données ou préparer des livrables commerciaux. Le gain de productivité est réel, mais le risque l’est aussi : envoyer du code source, des données financières ou des informations sensibles dans un modèle hébergé à l’étranger revient à perdre une partie de la maîtrise de ce patrimoine.

Pour le RSSI, le danger est immédiat parce qu’il est diffus. Il ne s’agit pas d’une seule application officiellement déployée, mais d’une constellation d’usages parfois invisibles. Or la souveraineté numérique ne tient plus dès lors que des informations critiques circulent hors des circuits validés, sans qualification des prestataires, sans encadrement contractuel et sans contrôle des journaux d’accès.

La réponse ne peut pas se limiter à l’interdiction. Dans les faits, les usages continuent s’ils répondent à un besoin métier fort. Les directions sécurité sont donc poussées à proposer des alternatives souveraines, hébergées localement ou sur des Clouds qualifiés, tout en auditant les accès aux applications utilisées sans validation officielle.

Sur le plan juridique et organisationnel, le sujet oblige aussi à clarifier les responsabilités. Les métiers choisissent parfois l’outil.

Les équipes IT peuvent l’intégrer. Mais la responsabilité de la sécurité, de la conformité des flux et de la maîtrise des risques tiers revient, dans les faits, à une gouvernance élargie où le RSSI prend une place croissante. La souveraineté numérique devient alors un langage commun entre sécurité, conformité, achats et directions opérationnelles.

Repères de marché : des comptes 2024 qui rappellent le poids des infrastructures numériques

Le débat sur la souveraineté se joue aussi sur fond d’investissements lourds dans les infrastructures et les services numériques. Les montants publiés au greffe montrent que le sujet ne relève pas d’un marché marginal, mais d’une chaîne de valeur déjà très structurée. Les données ci-dessous donnent un aperçu de ce paysage économique à partir d’exercices 2024 (Source : Infonet, comptes publiés au greffe).

Données clés

Positionnement marché

  • BOUYGUES TELECOM 7,82 Mds€ (2024)
  • CREDIT AGRICOLE-GROUP INFRASTRUCTURE PLATFORM 1,19 Mds€ (2024)
  • ALLIANCE AUTOMOTIVE TRADING GROUP 954,7 M€ (2024)
  • BLACKROCK ALADDIN (EFRONT) 256,5 M€ (2024)

Source : Infonet — données issues des comptes publiés au greffe (exercice 2024).

Ces chiffres n’épuisent évidemment pas le sujet de la souveraineté. Ils rappellent toutefois une réalité souvent sous-estimée : les dépendances numériques s’inscrivent dans des écosystèmes économiques puissants, avec des acteurs de grande taille, des contrats complexes et des chaînes de service imbriquées. Pour un dirigeant, arbitrer entre agilité, coût et autonomie suppose donc une lecture à la fois technique et financière.

Ce que les directions générales doivent désormais arbitrer

Au 31 juillet 2026, la souveraineté numérique s’impose comme un sujet de pilotage d’entreprise, et non plus comme une préoccupation cantonnée aux équipes cyber. Les RSSI portent l’alerte, mais les décisions engagent aussi la direction juridique, les achats, la finance et les métiers.

La vraie question n’est pas de choisir entre ouverture technologique et protection. Elle consiste à déterminer quels actifs l’entreprise doit pouvoir reprendre, déplacer ou protéger sans dépendre entièrement d’un tiers.

Pour les entreprises françaises, la souveraineté numérique devient moins un mot d’ordre qu’un test de maturité sur la maîtrise de leurs dépendances critiques.